webriti vdperanto-Theme: Cross-Site Request Forgery im WordPress-Theme

Zusammenfassung

Das WordPress-Theme vdperanto von webriti bis und mit Version 2.2 ist anfällig für Cross-Site Request Forgery (CSRF). Ein Angreifer kann einen eingeloggten Benutzer, typischerweise einen Administrator, dazu bringen, eine manipulierte Webseite aufzurufen, wodurch ungewollte Aktionen auf der betroffenen WordPress-Website ausgelöst werden. Welche Funktion betroffen ist, ist nicht bestätigt; die Auswirkungen könnten Inhalte, Einstellungen oder Benutzer betreffen. Das Patchstack-Advisory bewertet die Lücke mit CVSS 8.8, beschreibt aber eine geringe praktische Priorität und keine bekannte Ausnutzung.

Betroffen

• webriti vdperanto WordPress-Theme, Versionen von 0 bis und mit 2.2
• Die Versionsangaben des Herstellers sind widersprüchlich (2.2 auf WordPress.org, 3.7 im Entwicklerprofil); auf der Live-Theme-Seite prüfen

Behoben in

• Unbekannt. Es wurde weder vom Hersteller noch von der CNA eine korrigierte Version bestätigt.

Umgehung

• Unbekannt. Es ist in den Quellen keine Workaround-Massnahme dokumentiert.
• Allgemein: Falls kein Fix verfügbar ist, das Theme deaktivieren, sofern es nicht unverzichtbar ist.
• Administratoren anweisen, sich vor dem Besuch anderer Websites bei WordPress abzumelden.

Ausnutzung

• Keine bekannte Ausnutzung (OffSeq: nicht als ausgenutzt bekannt).
• Kein öffentlicher Proof of Concept gefunden; CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• NVD-Status: Deferred.

Unsere Empfehlung

• Prüfen, ob eine Website das vdperanto-Theme verwendet (auch andere webriti-Themes prüfen, z. B. vice, CVE-2026-125844).
• Das Theme nach Möglichkeit durch ein gepflegtes Alternativ-Theme ersetzen; ein Herstellerpatch ist nicht bestätigt.
• Bis dahin das Theme dort deaktivieren, wo es nicht unverzichtbar ist, und das Surfverhalten von Administratoren einschränken.
• NVD- und Patchstack-Einträge auf eine korrigierte Version oder angepasste Bewertung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-125847 www.cve.org
• Patchstack advisory: vdperanto theme <= 2.2 CSRF patchstack.com
• OffSeq Radar: CVE-2026-125847 radar.offseq.com
• WordPress.org: vdperanto theme en-gb.wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:20.